Πώς ελέγχουμε
Ο έλεγχος ασφαλείας web εφαρμογής αξιολόγησε την ασφάλεια της εφαρμογής που αναφέρεται στο Εύρος & ημερομηνίες. Ο έλεγχος έγινε στο δοσμένο βασικό URL και κάλυψε τις σελίδες, τα APIs και τους ρόλους χρηστών της εφαρμογής που ήταν διαθέσιμοι κατά τον έλεγχο. Όπου δόθηκαν δοκιμαστικοί λογαριασμοί, η εφαρμογή ελέγχθηκε τόσο χωρίς όσο και με αυθεντικοποίηση.
Η προσέγγιση ακολουθεί τον OWASP Web Security Testing Guide (WSTG), και τα ευρήματα αντιστοιχίζονται στο OWASP Top 10 όπου χρειάζεται. Αυτοματοποιημένοι scanners χρησιμοποιήθηκαν για την υποστήριξη της κάλυψης· ο έλεγχος ήταν κυρίως χειροκίνητος και κάθε εύρημα της αναφοράς επαληθεύτηκε χειροκίνητα.
Τομείς ελέγχου
- Συλλογή πληροφοριών και ρυθμίσεις: τεχνολογίες, εκτεθειμένα αρχεία και endpoints, HTTP security headers, ρυθμίσεις TLS και διαχείριση σφαλμάτων.
- Αυθεντικοποίηση: σύνδεση, αποσύνδεση, επαναφορά κωδικού, αυθεντικοποίηση πολλών παραγόντων, κλείδωμα λογαριασμού και διαχείριση διαπιστευτηρίων.
- Διαχείριση συνεδριών: ισχύς των session tokens, ιδιότητες cookies, λήξη συνεδρίας και session fixation.
- Εξουσιοδότηση: έλεγχος πρόσβασης μεταξύ χρηστών και ρόλων, συμπεριλαμβανομένης της οριζόντιας και κάθετης κλιμάκωσης δικαιωμάτων και των insecure direct object references.
- Διαχείριση εισόδου: ευπάθειες injection όπως SQL, command και template injection, cross-site scripting (XSS), server-side request forgery (SSRF) και διαχείριση ανεβάσματος αρχείων.
- Επιχειρησιακή λογική: κατάχρηση των προβλεπόμενων ροών της εφαρμογής, όπως παράλειψη βημάτων ή αλλοίωση τιμών.
- Ασφάλεια στην πλευρά του client: cross-site request forgery (CSRF), clickjacking, πολιτική CORS και ευαίσθητα δεδομένα στον browser.
- APIs: οι ίδιοι έλεγχοι στα API endpoints που χρησιμοποιεί η εφαρμογή.
Περιορισμοί
- Ο έλεγχος αποτυπώνει σε μια συγκεκριμένη χρονική στιγμή την έκδοση της εφαρμογής που ήταν διαθέσιμη κατά τις ημερομηνίες του ελέγχου.
- Λειτουργίες, ρόλοι ή περιβάλλοντα που δεν ήταν διαθέσιμα ή δεν δόθηκαν κατά τον έλεγχο δεν καλύφθηκαν.
- Η υποκείμενη υποδομή φιλοξενίας ελέγχθηκε μόνο στον βαθμό που ήταν προσβάσιμη μέσω της εφαρμογής.
- Έλεγχος άρνησης υπηρεσίας δεν πραγματοποιήθηκε, εκτός αν αναφέρεται στο εύρος.
- Η απουσία ευρήματος δεν εγγυάται ότι η εφαρμογή δεν έχει ευπάθειες.